NTLM リレー攻撃.

MITRE T1557.001 に該当する中間者攻撃。被害者の NTLM 認証を別のサービスへ転送し、パスワードを知らないまま被害者になりすます。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

MITRE T1557.001 に該当する中間者攻撃。被害者の NTLM 認証を別のサービスへ転送し、パスワードを知らないまま被害者になりすます。

NTLM リレーは NTLM 認証のチャレンジ・レスポンス方式を悪用します。攻撃者は WebDAV や UNC パス、PetitPotam 型の強制認証などを用いて被害者ホストに自分のインフラへの認証を強要し、その NTLM メッセージを LDAP、SMB、ADCS の Web 登録、MSSQL などのターゲットへ転送します。ターゲットは正規のチャレンジ応答を受理し、攻撃者に被害者の権限を付与します。平文パスワードもハッシュも盗まないため、署名とチャネルバインディングが効いた経路だけが防御になります。対策は SMB 署名・LDAP 署名・Channel Binding (EPA) の強制、可能な箇所での NTLM 無効化、強制認証ベクタの修正です。標準ツールは Impacket の ntlmrelayx です。

NTLM リレー攻撃 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: NTLM リレー, T1557.001。